Mullvad declara no conservar ningún dato de actividad de sus usuarios. El servicio tiene su sede en Suecia, por tanto en una jurisdicción que pertenece a los 14 Eyes. Lo esencial, sin embargo, no tiene que ver con la sola jurisdicción, sino con los datos realmente conservados y con lo que auditorías independientes permiten verificar —un razonamiento desarrollado en los VPN 14 Eyes—.
Esta página es una síntesis factual basada en la política oficial de Mullvad, actualizada el 17 de junio de 2026 y consultada en agosto de 2026. No constituye una opinión jurídica: solo el documento oficial vigente da fe.
Registro sin datos personales
La creación de una cuenta Mullvad no requiere información personal: ni nombre, ni correo, ni contraseña. Un número de cuenta aleatorio constituye el único identificador. Sin correo ni nombre introducido, esos datos no existen en los sistemas del proveedor. Los datos asociados a la cuenta son el número y el tiempo restante; con WireGuard® se añaden una clave pública y una dirección de túnel necesarias para el protocolo, sin una identidad civil proporcionada al registrarse.
Tratamiento de los registros
Mullvad declara no conservar ningún dato que permita asociar una actividad de red a una cuenta o a una persona. La limitación a cinco conexiones simultáneas se verifica en memoria temporal en los servidores, sin escritura en disco. Los registros del servidor web se conservan cinco minutos, sin dirección IP, luego se reducen a un simple agregado del número de solicitudes y de sus códigos de respuesta. La política no se limita, por tanto, a afirmar la ausencia de registros de actividad: describe también qué datos existen pese a todo, del lado del pago, el soporte y la administración.
Pagos: un anonimato variable
Es sobre todo en el pago donde pueden tratarse datos. Para efectivo enviado por correo, Mullvad destruye el sobre y conserva lo necesario para acreditar la cuenta —token o cuenta, monto, moneda y fecha— sin pedir la identidad del remitente. En criptomonedas existen monto, moneda y datos de la transacción; después de veinte días la hora se reduce a la fecha y se elimina la dirección receptora de Bitcoin/Bitcoin Cash, mientras que un identificador de Monero puede conservarse para evitar un doble abono. Con tarjeta, PayPal, Swish o transferencia, terceros mantienen sus propios registros; los identificadores de conciliación de Mullvad suelen eliminarse tras veinte días, pero los documentos contables obligatorios pueden conservarse hasta siete años. Ningún pago electrónico debe describirse como anónimo.
Mantenimiento y diagnóstico
Se recopilan datos técnicos agregados en los servidores: número de conexiones activas, carga de procesador, ancho de banda total por servidor. Sirven para vigilar la salud de la infraestructura y detectar las anomalías, sin identificar a ningún usuario. La aplicación verifica automáticamente su versión para señalar una versión vulnerable, transmitiendo únicamente el número de versión de la aplicación y del sistema —ningún identificador—. Mullvad indica no recurrir a ninguna herramienta de terceros de estadísticas de uso.
Auditorías independientes
Mullvad publica sistemáticamente los informes de auditoría de sus proveedores de seguridad, que cubren infraestructura, aplicaciones y servicios:
- 2018 — Assured AB y Cure53: primera auditoría de infraestructura.
- 2020 — Cure53: segunda auditoría de infraestructura.
- 2022 — Radically Open Security: tercera auditoría de infraestructura.
- 2024 (junio) — Cure53: cuarta auditoría de infraestructura (OpenVPN y WireGuard®); no se identificó ningún método de compromiso del anonimato del tráfico.
- 2024 (diciembre) — X41 D-Sec: auditoría de la aplicación, nivel de seguridad elevado, problemas no críticos corregidos.
- 2025 (marzo) — NCC Group: evaluación MASA de la aplicación Android.
- 2025 (octubre) — Assured AB: auditoría de la aplicación web, ningún problema crítico, elevado o medio.
- 2026 (enero) — X41 D-Sec: auditoría de los servicios de cuenta y de pago.
- 2026 (marzo) — Assured Security Consultants: auditoría de la implementación WireGuard® usada en Android.
- 2026 (junio) — Leviathan Security Group: nueva evaluación MASA de la aplicación Android.
Ninguna auditoría constituye una garantía permanente: atestigua un estado observado en una fecha y en un alcance dados. La lógica de conjunto se detalla en la auditoría VPN independiente.
Jurisdicción sueca y solicitudes de las autoridades
Suecia pertenece a los 14 Eyes, pero esa pertenencia no dice, por sí sola, lo que un proveedor puede entregar. El país no impone a los proveedores VPN ninguna obligación de conservación de los datos, y al no ser Mullvad considerado un operador de comunicaciones electrónicas, las autoridades no pueden exigirle datos de usuarios por esa vía. Queda la incautación física —que fue puesta a prueba—: el 18 de abril de 2023, seis policías se presentaron en la sede con una orden que apuntaba a datos de clientes; Mullvad demostró que esos datos no existían, y los agentes se fueron sin ninguna incautación. El alcance de esta jurisdicción se sitúa en la jurisdicción de una VPN.
En resumen
La política de Mullvad se distingue por una fuerte minimización desde el registro, explicaciones precisas sobre los pagos y una larga serie de auditorías. Es nuestra recomendación más clara para quien prefiere una cuenta sin correo y un modelo sencillo, siempre que acepte un enfoque más sobrio que el de las grandes suites VPN. Consulta nuestra prueba completa de Mullvad.
Nuestro veredicto: Mullvad es una excelente opción centrada en privacidad y minimización de datos. Acceder a la oferta oficial de Mullvad.
En América del Sur, prueba la latencia desde tu operador antes de convertirlo en tu VPN principal: una buena política no garantiza una ubicación cercana ni un enrutamiento óptimo. Revisa también el medio de pago disponible, la moneda y los cargos de conversión.